Twitter: no creas todo lo que leas, aunque te mencionen

(Por Rubén Borlenghi, el Microsaurio) Te llega un mensaje directo que dice “Mirá esto, hay un blog horrible sobre vos”. Y debajo, un link. ¿Cómo no vas a hacer clic? Para peor, proviene de una persona que conocés, con la cual tenés un ida y vuelta de twits muy frecuente. Pero… ¿será cierto?

Un mensaje de esos le llegó a Graham Cluley, un investigador de la empresa británica de seguridad informática Sophos. Cuando el incauto de turno, perdón, el usuario de Twitter, hacía clic en el vínculo, iba a parar a una página como la que te muestro acá:

Tiene toda la pinta de una pantalla de la empresa Twitter, que parece indicar un “timeout” (tiempo de espera agotado) y pide autenticación para ceder el paso. Uno pone nombre, dirección de correo y contraseña y supone que la etapa siguiente es ver el famoso blog ofensivo.

Pues no. Lo que sucede, según describe pacientemente míster Cluley, es que el desgraciado que está “del otro lado” de esa pantalla recibe la información necesaria para entrar en la cuenta cuyos datos amablemente acaban de regalarle.

Paso siguiente: levantar más información, reenviar twitts (en nombre de la víctima) a cada contacto, de tal manera que en pocas horas el agresor tendrá una excelente cosecha de contraseñas de cuentas que le llevarán, no te quepa duda, a armar suculentas campañas de sp*m, o un sembrado de malware para robar cuentas bancarias. Es una forma más de hacer “phishing”, robo de datos personales o password, como primer paso para algo más grave.

Mismas mañas, distinto vehículo
No, claro que este sistema de robo de contraseñas no es nuevo. Hace años mostré cómo aparecían mensajes de mail con un contenido similar, del tipo “Estas son las fotos hot del hotel en las vacaciones”. Después llegó el momento de aprovechar las redes sociales, con links que decían “Mirá el video de la fiesta loca posteado en Facebook”.

Consejo 1: calma
Leer despacio, no contestar al toque. Sacar la mano del mouse en caso de sentir el impulso irrefrenable de hacer clic.

Consejo 2: precaución
Desconfiar de las direcciones URL comprimidas y otras trampas. Si miran con cuidado la imagen de pantalla (involuntaria cortesía de Sophos) verán que la dirección a la que fue a parar la víctima no dice “twitter.com” sino “twittelr.com”, con una l insertada. El malvado atacante ha registrado un nombre similar. Eso se llama “typosquatting” y es más usual de lo que se cree; se aprovecha una variante de un nombre legítimo, explotando un posible error de tipeo, o el apuro al leer (en este caso) para beneficiarse con la confusión.

Piadoso telón: el usuario de Twitter “roadpol_west”, que aparece como víctima en este ejemplo publicado por Cluley, y cuya cuenta fue capturada por los desconocidos de siempre, es… la policía de carreteras de Sussex, Gran Bretaña. Esperemos que tengan más cuidado al redactar una boleta que al darle a “aceptar”…